Prompts

Prompts d'IA juridique pour Vie Privée et Protection des Données

16 prompts you can paste straight into HAQQ or any other assistant. Every one is written out in full. Open it, copy it, change the bracketed parts.

• SaaS transfrontalier : hébergement, utilisateurs et régulateurMémorandumEntrepriseConformité / Due Diligence

  Un éditeur de logiciels situé en [pays] vend un contrat SaaS à [une banque / une entité régulée] en [pays]. Les données seront hébergées à [lieu], avec des utilisateurs finaux dans [pays].
  Avis pour l'éditeur :
  1. Quels régimes de protection des données s'appliquent réellement, et sur quel facteur de rattachement pour chacun : établissement, ciblage, localisation des données, ou obligations réglementaires du client répercutées sur nous.
  2. Le mécanisme de transfert requis pour chaque flux transfrontalier, et l'incidence d'un hébergement dans un pays tiers.
  3. Ce que le régulateur financier du client exigera de nous en tant que prestataire externalisé : droits d'audit, agrément des sous-traitants ultérieurs, assistance à la réversibilité, conservation des enregistrements, délais de notification d'incident, et droit d'accès du régulateur lui-même.
  4. Les règles de localisation ou de résidence des données susceptibles de disqualifier d'emblée l'hébergement envisagé. C'est la question qui tue les opérations, traitez-la tôt.
  5. Le montage contractuel : ce qui relève du contrat-cadre, de l'accord de traitement et de l'annexe sécurité, et notre position de repli sur chacun des trois points sur lesquels la banque ne cédera pas.
  6. Une liste d'actions datée jusqu'à la signature.
  Règles impératives : nommer chaque loi et chaque article. Lorsqu'une règle émane d'un régulateur et non d'un texte législatif, nommer le régulateur et la circulaire. Lorsque l'entrée en vigueur d'une exigence n'est pas certaine, la marquer pour vérification plutôt que de l'affirmer.

• Politique de ConfidentialitéPolitiqueAvancéRédiger / Générer

  Rédigez une politique de confidentialité pour [Société], qui exploite [décrire l'activité] dans [juridictions]. Je conseille [Société] en tant que responsable du traitement.
  Faits : catégories de données personnelles collectées [détails], finalités du traitement [détails], présence de catégories particulières ou de données d'enfants [oui/non, détails], données partagées avec des tiers ou des sous-traitants [détails], transferts internationaux impliqués [oui/non, destinations].
  Produisez :
  1. La section collecte et utilisation des données : ce qui est collecté, auprès de qui, et pourquoi, rattaché à une base légale précise pour chaque finalité selon la loi de chaque juridiction listée, et non une base unique pour tout.
  2. Conservation : une durée ou un critère pour chaque catégorie de données, et non une durée unique globale.
  3. Les droits individuels disponibles dans chaque juridiction, la manière de les exercer, et le délai de réponse.
  4. Transferts internationaux : le mécanisme utilisé pour chaque destination, et ce qui se passe si ce mécanisme devient indisponible.
  5. Cookies et technologies de suivi, cohérents avec ce que le site ou le produit de [Société] déploie réellement.
  6. Coordonnées pour les demandes relatives à la confidentialité et, lorsque la loi l'exige, l'identité du délégué à la protection des données ou du représentant.
  Règles impératives : n'affirmez aucune base légale ni durée de conservation qui ne soit rattachée à une disposition nommée ou à une raison d'affaires documentée. Lorsque l'exigence d'une juridiction diffère des autres juridictions listées, signalez la différence plutôt que de rédiger une seule clause pour toutes, et marquez tout ce qui nécessite une confirmation de [Société] avant publication.

• Accord de Traitement des DonnéesContratAvancéRédiger / Générer

  Vous rédigez un accord de traitement des données en vertu duquel [Sous-traitant] traitera des données personnelles pour le compte de [Responsable] pour [décrire les activités de traitement]. Cadre applicable : l'article 28 du RGPD, ainsi que la loi locale équivalente lorsque les parties opèrent hors de l'UE.
  Faits : sous-traitant [Sous-traitant], responsable du traitement [Responsable], activités de traitement [décrire les activités de traitement].
  Livrables :
  1. Les mentions obligatoires de l'article 28 : objet, durée, nature et finalité du traitement, types de données personnelles, catégories de personnes concernées.
  2. Les mesures de sécurité que le sous-traitant doit mettre en œuvre, proportionnées au risque du traitement décrit.
  3. Le processus d'approbation des sous-traitants ultérieurs, y compris le délai de préavis et le droit d'opposition du responsable.
  4. Les droits d'audit et d'inspection, y compris leur fréquence et la répartition des coûts.
  5. Les obligations de notification des violations de données, y compris le délai de notification au responsable.
  6. Les dispositions relatives aux transferts internationaux si le traitement a lieu hors de la juridiction du responsable.
  Règles impératives : citez la disposition de l'article 28 que vous mettez en œuvre plutôt que de la paraphraser. N'indiquez pas de délai de notification ou de montant de sanction précis à moins qu'il ne figure dans les faits ou dans la disposition citée ; signalez-le plutôt pour confirmation.

• Politique de CookiesPolitiqueAvancéRédiger / Générer

  Vous rédigez une politique de cookies pour le site web de [Société], destinée à être publiée comme document de conformité accessible au public.
  Faits : exploitant du site web [Société], juridiction dont les règles sur les cookies s'appliquent [juridiction].
  Livrables :
  1. Explication en langage clair de ce que sont les cookies et de la raison pour laquelle le site les utilise.
  2. Un tableau des catégories de cookies utilisées (essentiels, analytiques, marketing), avec la finalité et la durée habituelle de chacune.
  3. Cookies tiers : quels tiers les déposent et à quelles fins ils sont utilisés.
  4. Comment un utilisateur peut consulter, accepter, refuser ou retirer son consentement pour chaque catégorie, et comment ce choix est appliqué techniquement.
  5. Coordonnées pour les questions relatives aux cookies et une date de dernière mise à jour.
  Règles impératives : n'affirmez pas que la politique respecte les exigences de [juridiction] par une simple assertion ; identifiez l'exigence précise de consentement ou d'information qu'elle satisfait, et signalez tout élément qui dépend de faits non fournis, tels que les cookies réellement déposés sur le site, pour confirmation par le client avant publication.

• Procédure de Demande d'AccèsPolitiqueAvancéRédiger / Générer

  Rédigez une procédure interne pour [Société] afin de traiter les demandes d'accès des personnes concernées au titre du RGPD/[loi applicable]. Je conseille [Société] en tant que responsable du traitement.
  Faits : systèmes et bases de données contenant des données personnelles [liste], l'équipe actuellement responsable de la réception des demandes [détails], le délai légal de réponse et toute prorogation disponible en vertu de [loi applicable].
  Produisez :
  1. Réception et vérification d'identité : comment une demande est enregistrée, et les étapes de vérification proportionnées à la sensibilité des données détenues, sans exiger plus d'identification que la demande ne le justifie.
  2. Le protocole de recherche : quels systèmes doivent être fouillés, dans quel ordre, et qui valide que la recherche était complète.
  3. Le délai de réponse, calculé à partir de la date de déclenchement correcte, avec le point d'escalade si une échéance est menacée.
  4. L'évaluation des exemptions : les motifs disponibles en vertu de [loi applicable] pour retenir ou caviarder des éléments, appliqués poste par poste et non à la demande dans son ensemble.
  5. Le format de la réponse, et la manière de traiter les données personnelles de tiers mêlées aux mêmes dossiers.
  6. Escalade et validation : qui approuve la réponse finale, et la trace à conserver de la décision.
  Règles impératives : citez l'article de [loi applicable] à l'appui de chaque étape de vérification, chaque délai et chaque exemption. Ne retenez ni ne caviardez rien sans consigner le motif précis invoqué, et soumettez à une revue juridique toute demande soulevant une exemption inédite ou contestée.

• Plan de Réponse aux Violations de DonnéesPolitiqueAvancéRédiger / Générer

  Rédigez un plan de réponse aux violations de données pour [Société], soumis à [loi applicable]. Je conseille [Société] en tant que responsable du traitement.
  Faits : les systèmes et catégories de données personnelles concernés [détails], l'équipe de réponse aux incidents déjà en place [détails], le régulateur compétent et son canal de notification publié [détails].
  Produisez :
  1. Détection et signalement interne : comment un incident est d'abord détecté et à qui, et le délai qui commence à courir à partir de ce moment.
  2. Évaluation initiale : comment classer la gravité et décider, sur une base documentée, si l'incident atteint le seuil de notification au régulateur ou aux personnes concernées.
  3. Mesures de confinement et de remédiation, et qui a l'autorité de prendre chacune sans validation supplémentaire.
  4. Notification au régulateur : le délai prévu par [loi applicable], les informations que la notification doit contenir, et que faire si l'information complète n'est pas encore disponible à l'échéance.
  5. Notification aux personnes concernées : l'élément déclencheur, le contenu, et le canal.
  6. Documentation et revue post-incident : ce qui doit être consigné, que la notification ait été requise ou non, et qui revoit la réponse par la suite.
  7. Responsabilités attribuées : un rôle nommé, pas un service, pour chaque action ci-dessus.
  Règles impératives : citez l'article ou la disposition de [loi applicable] à l'appui de chaque délai et chaque seuil de notification. N'énoncez aucun délai de notification que vous ne puissiez rattacher à une disposition nommée, et signalez toute étape où la pratique réelle du régulateur pourrait différer du texte légal.

• Avis de Confidentialité des EmployésPolitiqueAvancéRédiger / Générer

  Rédigez un avis de confidentialité des employés pour [Société], soumis à [loi applicable]. Je conseille [Société] en tant qu'employeur.
  Faits : catégories de données des employés collectées [détails], toute surveillance en place (courriel, géolocalisation, vidéosurveillance, outils de productivité) [détails], entités du groupe recevant des données d'employés et leurs localisations [détails].
  Produisez :
  1. Ce qui est collecté et auprès de qui (l'employé, les managers, des prestataires tiers tels que la paie ou les avantages sociaux), par catégorie.
  2. La finalité et la base légale de chaque catégorie, en distinguant ce qui repose sur le consentement, le contrat, l'obligation légale ou l'intérêt légitime, la relation de travail rendant le consentement une base fragile pour la plupart de ces cas.
  3. Les durées de conservation par catégorie, rattachées à un délai de prescription, une obligation légale de conservation des documents, ou une raison d'affaires exprimée.
  4. Les pratiques de surveillance : ce qui est surveillé, la base légale, et comment les employés en sont informés, une surveillance non divulguée étant souvent illicite même lorsque la finalité sous-jacente est légitime.
  5. Les droits des employés et la manière de les exercer en interne.
  6. Les transferts internationaux au sein du groupe : les destinations et le mécanisme utilisé pour chacune.
  Règles impératives : citez l'article ou la disposition de [loi applicable] à l'appui de chaque base légale et chaque durée de conservation. Ne qualifiez aucune pratique de surveillance de licite sans en nommer la base, et signalez tout transfert dont le mécanisme n'a pas été confirmé par l'équipe de protection des données de [Société].

• Avenant Protection des Données FournisseurContratAvancéRédiger / Générer

  Vous rédigez un avenant relatif à la protection des données à joindre aux contrats fournisseurs lorsque [Fournisseur] peut accéder à des données personnelles contrôlées par [Société], ou les traiter.
  Faits : fournisseur [Fournisseur], responsable du traitement [Société], nature de l'accès ou du traitement du fournisseur tel que décrit dans le contrat sous-jacent.
  Livrables :
  1. Obligations du sous-traitant : ne traiter que sur instructions documentées, confidentialité du personnel, assistance pour les demandes des personnes concernées.
  2. Exigences de sécurité, proportionnées à la sensibilité des données auxquelles le fournisseur accédera.
  3. Restrictions relatives à la sous-traitance ultérieure, y compris les droits de préavis et d'opposition de [Société].
  4. Droits d'audit : portée, fréquence, et répartition du coût.
  5. Mécanisme de transfert transfrontalier, en nommant la garantie utilisée, telle que les clauses contractuelles types, plutôt que de présumer qu'une garantie s'applique.
  6. Conséquences d'un incident de sécurité, y compris le délai de notification.
  Règles impératives : citez les termes définis du contrat sous-jacent plutôt que d'en inventer de nouveaux. N'affirmez pas qu'un mécanisme de transfert précis est valable pour le lieu d'établissement de [Fournisseur] à moins que ce lieu ne soit donné ; sinon, signalez ce point pour confirmation.

• Politique de Conservation des DonnéesPolitiqueAvancéRédiger / Générer

  Vous rédigez une politique de conservation des données pour [Société], couvrant toutes les catégories de données personnelles et commerciales qu'elle détient.
  Faits : entreprise [Société], les catégories de données et systèmes concernés tels que décrits par le client.
  Livrables :
  1. Un calendrier de conservation par catégorie de données, avec la durée de conservation et le motif juridique ou commercial de chacune.
  2. Les procédures de suppression sécurisée et d'anonymisation à l'issue de chaque durée de conservation.
  3. Le protocole de conservation pour litige : comment il est déclenché, communiqué et levé.
  4. Les rôles et responsabilités relatifs à la conformité à la politique, y compris qui approuve les exceptions.
  5. Le cycle de révision de la politique elle-même.
  Règles impératives : n'inventez pas de durée de conservation légale précise ; n'indiquez une durée que lorsqu'elle figure dans les faits ou peut être rattachée à une loi nommée, et signalez toute autre durée comme un point à confirmer par l'équipe juridique ou conformité du client.

• Analyse d'Impact sur la Vie PrivéeRapportAvancéConformité / Due Diligence

  Vous menez une analyse d'impact relative à la protection des données pour le/la [projet/système/produit] proposé(e) par [Société], qui traitera [décrire les données personnelles]. Cadre applicable : l'article 35 du RGPD, ainsi que l'exigence locale équivalente si le projet opère également hors de l'UE.
  Faits : organisation [Société], projet [projet/système/produit], données personnelles concernées [décrire les données personnelles].
  Livrables :
  1. Description du traitement : finalité, portée, contexte et flux de données.
  2. Évaluation de la nécessité et de la proportionnalité au regard de la finalité déclarée.
  3. Identification des risques : probabilité et gravité de chaque risque pour les personnes.
  4. Garanties existantes et prévues, mises en correspondance avec chaque risque identifié.
  5. Besoins de consultation, y compris s'il convient d'impliquer le délégué à la protection des données ou l'autorité de contrôle.
  6. Mesures d'atténuation recommandées, classées selon le risque qu'elles traitent.
  Règles impératives : n'affirmez pas que l'article 35 exige cette analyse sans avoir confirmé que le traitement atteint le seuil de risque élevé ; si ce seuil n'est pas établi par les faits fournis, indiquez-le et signalez ce point pour confirmation.

• Évaluation de Transfert de Données TransfrontalierMémorandumAvancéConformité / Due Diligence

  Vous conseillez sur la licéité du transfert de données personnelles depuis [pays/région d'origine] vers [pays de destination].
  Faits : origine [pays/région d'origine], destination [pays de destination], les catégories de données personnelles et la finalité du transfert telles que décrites par le client.
  Livrables :
  1. Si une décision d'adéquation couvre la destination ; si aucune ne figure dans les faits, indiquez-le plutôt que de présumer qu'elle existe.
  2. La garantie appropriée disponible en l'absence de décision d'adéquation : clauses contractuelles types, règles d'entreprise contraignantes, ou un autre mécanisme reconnu, et pourquoi il convient à ce transfert.
  3. Une analyse de type Schrems II des lois de surveillance et d'accès de la destination, ainsi que les mesures supplémentaires nécessaires pour combler tout écart.
  4. Le risque pratique si le transfert a lieu sans mesures supplémentaires.
  5. Une recommandation sur l'opportunité de poursuivre, suspendre, ou restructurer le transfert.
  Règles impératives : n'affirmez pas qu'une décision d'adéquation ou une garantie nommée s'applique à [pays de destination] à moins de pouvoir l'identifier ; sinon, signalez ce point pour confirmation par rapport à la liste en vigueur avant de vous appuyer sur cette analyse. Cette analyse est une aide à l'analyse pour un praticien qualifié, et non un substitut à un avis juridique formel sur ce transfert.

• Cadre de Gouvernance des Données Système IAPolitiqueAvancéRédiger / Générer

  Vous rédigez un cadre de gouvernance des données pour les systèmes d'IA et d'apprentissage automatique de [Société].
  Faits : organisation [Société], les systèmes et leur usage prévu tels que décrits par le client.
  Livrables :
  1. Exigences relatives aux données d'entraînement : provenance, qualité, et base légale d'utilisation.
  2. Mesures d'identification et d'atténuation des biais tout au long du cycle de vie des données.
  3. Contrôles de minimisation des données et de limitation des finalités propres à l'entraînement et à l'inférence du modèle.
  4. Obligations de transparence envers les personnes dont les données sont utilisées ou affectées.
  5. Droits des personnes dans la prise de décision automatisée, y compris la manière dont une demande de révision humaine est traitée.
  6. Rôles de gouvernance : qui est propriétaire du cadre, qui approuve les exceptions, et comment il est audité.
  Règles impératives : la réglementation propre à l'IA continue d'évoluer dans la plupart des juridictions. Ne citez pas une loi sur l'IA précise comme régissant ce cadre à moins que le client ne l'ait nommée ; sinon, décrivez l'obligation en termes généraux et signalez la réglementation applicable pour confirmation. Citez l'article ou la disposition à l'origine de chaque obligation que vous énoncez, et signalez tout ce que vous ne pouvez pas attribuer à un instrument nommé comme nécessitant confirmation, plutôt que de l'affirmer comme un fait établi.

• Accord de Partage de Données avec TiersContratAvancéRédiger / Générer

  Vous rédigez un accord de partage de données entre [Société A] et [Société B] pour partager [décrire les données] à des fins de [décrire les finalités].
  Faits : parties au partage [Société A] et [Société B], données partagées [décrire les données], finalité [décrire les finalités].
  Livrables :
  1. Responsabilités de responsable à responsable : ce dont chaque partie répond dès qu'elle détient les données.
  2. La base légale sur laquelle chaque partie s'appuie pour son propre traitement.
  3. Notification des personnes concernées : ce qui leur est communiqué, par qui, et quand.
  4. Les normes de sécurité que chaque partie doit respecter avant de recevoir les données.
  5. Les limitations au partage ultérieur, y compris toute interdiction de vente ou de transfert ultérieur.
  6. La répartition de la responsabilité si le traitement effectué par une partie cause une violation ou une plainte réglementaire.
  Règles impératives : n'affirmez pas qu'une base légale précise, telle que l'intérêt légitime, s'applique au traitement de l'une ou l'autre partie sans faits venant l'étayer ; signalez plutôt ce point pour que chaque partie procède à sa propre évaluation juridique.

• Politique de Gouvernance de l'IAPolitiqueExpertRédiger / Générer

  Agissez en tant que conseil de [organisation] en gouvernance de l'IA, sous le droit de [juridiction]. Rédigez une politique de gouvernance de l'IA couvrant :
  1. Les principes d'utilisation responsable de l'IA.
  2. Un cadre d'évaluation des risques.
  3. La détection et l'atténuation des biais.
  4. Les exigences de transparence.
  5. Les mécanismes de supervision humaine.
  6. Le traitement des données pour l'entraînement de l'IA.
  7. Les critères d'évaluation des fournisseurs.
  8. Les procédures de réponse aux incidents.
  Règles obligatoires : n'indiquez pas que cette politique satisfait à une réglementation IA précise, comme l'AI Act de l'UE ou une autre loi nommée, sans citer la disposition exacte à laquelle elle correspond. Signalez toute obligation que vous ne pouvez pas rattacher à une source réglementaire nommée comme nécessitant une confirmation par un conseil réglementaire.

• Note de recherche réglementaire (vérifier avant de citer)MémorandumAvancéRechercher / Références

  Agis en tant que conseil conformité. Recherche les exigences actuelles au titre de [nomme la réglementation ou le cadre] telles qu'elles s'appliquent à [décris l'activité de l'entreprise] en [juridiction]. Structure la réponse ainsi : l'obligation précise, l'article légal ou réglementaire dont elle provient, l'échéance ou l'événement déclencheur, et la sanction en cas de non-conformité. Si tu n'es pas certain qu'une référence est à jour ou correctement numérotée, dis-le explicitement et demande-moi de la confirmer auprès du texte officiel du régulateur plutôt que de présenter ta meilleure estimation comme du droit établi.

• Calendrier des Obligations au Titre d'une Loi MENA de Protection des Données DésignéeListe de contrôleExpertConformité / Due Diligence

  Agis en tant que conseil en protection des données pour établir un calendrier d'obligations pour [ORGANISATION], une entreprise du secteur [SECTEUR] traitant des données personnelles de personnes situées en [PAYS], au titre de [LOI DÉSIGNÉE : par exemple la loi saoudienne sur la protection des données personnelles (décret royal M/19) et son règlement d'application, le décret-loi fédéral émirien n° 45 de 2021, la loi du DIFC n° 5 de 2020 sur la protection des données, la loi bahreïnie n° 30 de 2018, ou la loi qatarie n° 13 de 2016]. Travaille uniquement à partir de cette loi désignée et de ses textes d'application. Cite l'article de chaque obligation ; lorsqu'un délai, un seuil, une redevance ou une durée de conservation ne figure pas dans le texte utilisé, écris « non précisé dans la source, à confirmer » plutôt que de fournir un chiffre. Rends : (1) Applicabilité : si et pourquoi la loi atteint cette organisation, y compris tout rattachement extraterritorial, exclusion sectorielle ou régime de zone franche qui l'écarte ; (2) Enregistrements et Déclarations, tout enregistrement, licence, désignation ou notification au régulateur, avec l'article et le fait générateur ; (3) Obligations Récurrentes, un calendrier de ce qui doit être fait et à quelle fréquence (registre des traitements, analyses d'impact, revues, formation, audits), chacune avec article, responsable interne et périodicité ; (4) Délais Déclenchés par un Événement, le décompte qui s'ouvre en cas de violation de données, de demande d'une personne concernée, de transfert transfrontalier ou de changement de sous-traitant, avec l'article et le mode de calcul ; (5) Conditions de Transfert Transfrontalier : les fondements admis, toute étape d'autorisation ou d'adéquation, et toute exigence de localisation, chacune citée ; (6) Rôles et Clauses Contractuelles, si un délégué à la protection des données ou un représentant local est exigé et à quel déclenchement, la répartition responsable-sous-traitant, et les clauses que la loi impose dans les contrats de sous-traitance ; (7) Exposition aux Sanctions, les sanctions que la loi elle-même prévoit, citées du texte, sans estimation de probabilité ; (8) Liste des Écarts et Preuves, mesurée contre [PRATIQUE ACTUELLE], ce qui manque et quel élément [ORGANISATION] doit pouvoir produire pour démontrer sa conformité, ainsi que les questions ouvertes pour le conseil local. Pratique actuelle : [DÉCRIRE].

Search all 391 prompts